«In Abraxas-Software Schwachstellen zu finden, ist schwierig»

Abraxas Magazin: Was unterscheidet dich von einem Hacker?

Simon Reinhart: (schmunzelt) Mein Hut. Ich habe nur gute Absichten und lebe von meiner Tätigkeit als Cyber Security Engineer. Ich bin spezialisiert auf Bug-Bounty-Programme. Oft wird dafür auch der Begriff «Ethical Hacker» verwendet. Das suggeriert etwas Illegales, was natürlich falsch ist. Darum kann man mich gerne auch als «Security Researcher» bezeichnen.

Was unterscheidet dich punkto Skills von einem Black-Hat-Hacker?

Ich denke, das kann man nicht pauschal beantworten. Die Hauptdisziplin dessen, was ich mache, ist Web Application Security – also das Ermitteln und Ausnutzen von Schwachstellen in Webapplikationen. Bei Cyberkriminellen umfassen die Tätigkeiten jedoch viele weitere Disziplinen wie Betrugsversuche aller Art, Social Engineering, Phishing oder Supply-Chain-Angriffe.

Wie bist du auf das Abraxas Bug-Bounty-Programm gestossen?

Ich habe mich bei Bug Bounty Switzerland angemeldet, nachdem ich gelesen hatte, dass der Bund über diese Plattform ein Bug-Bounty-Programm lanciert. Zu Beginn wurde ich jedoch für ein Programm von Abraxas eingeladen, bei dem ich schnell Erfolge verbuchen konnte. Genau genommen war es also ein Abraxas-Programm, das mir «den Ärmel reingezogen» hat in die Bug-Bounty-Welt.

Wie anspruchsvoll ist das Programm von Abraxas?

Die Applikationen von Abraxas, die ich bisher über das Bug-Bounty-Programm untersucht habe, weisen nach meiner Einschätzung eine sehr hohe Maturität auf. Das bedeutet, es ist eher schwierig, Schwachstellen zu finden, die einen direkten Risiko-Impact haben. Zudem sollte man den Fokus nicht nur auf Standard-Schwachstellen legen, sondern auch auf Prozessabläufe und konfigurative Gegebenheiten.

Das bedeutet, die Suche nach Schwachstellen lohnt sich nicht?

Doch. Nach meiner Erfahrung ist das Triage-Team von Abraxas sehr offen gegenüber sämtlichen sicherheitsrelevanten Meldungen. Das heisst, es kann vorkommen, dass man auch für Reports entlöhnt wird, die nicht direkt eine ausnutzbare Schwachstelle aufzeigen, sondern beispielsweise eine Konfiguration betreffen, die optimiert werden könnte, oder eine Angelegenheit, die zu einem inkonsistenten Zustand der Daten führen kann.

Wie gehst du normalerweise vor?

Zuerst lerne ich die Angriffsfläche gut kennen und teste sie gezielt. Schwachstellen erkenne ich meist durch spezifische Payloads – manipulierte Datenpakete, die bestimmte Systemreaktionen auslösen. Abschliessend erstelle ich ein Proof of Concept – den Beweis, dass die Schwachstelle existiert.

Das braucht vor allem Ausdauer!

Ja, denn viele Programme wurden schon zigfach getestet. Man muss dranbleiben. Aber es macht mir Spass, etwas auszuhebeln, an das niemand gedacht hat. Ich liebe das Tüfteln.

Wie erfolgreich warst du bisher im Programm von Abraxas?

Ich konnte schon einige Reports übermitteln, schätzungsweise mehr als ein Dutzend. Die meisten davon wurden akzeptiert und entlöhnt. Bei den Abraxas-Programmen wird jeweils immer das maximale Bounty innerhalb des erreichten Ranges bezahlt. Der Erfolg ist für mich absolut zufriedenstellend, gemessen am Verhältnis zwischen Zeitaufwand und Bounties.

Findings und Bewertungen der Schwachstellen werden von den Security Champions von Abraxas geprüft – wie zufrieden bist du mit dem Team?

Die Triage von Abraxas ist höchst professionell. Man merkt, dass die verantwortlichen Personen vertieftes technisches Wissen in den Security-Bereichen haben. Zudem wird immer nachvollziehbar und ausführlich kommuniziert – sowohl bei akzeptierten als auch bei zurückgewiesenen Reports. Das schätze ich sehr, denn dadurch ist die Entscheidung jeweils komplett nachvollziehbar. Es gibt vermutlich nichts Frustrierenderes für einen Bug-Bounty-Hunter, als wenn ein Finding zurückgewiesen wird, ohne nachvollziehbare Argumentation.

Ist denn die Software sicher, wenn Security Researcher wie du sie ausgetestet haben?

Natürlich, zu 100 % – nach mir bleibt nichts zurück! (lacht) Nein, Spass beiseite – eine Garantie, dass eine Software sicher ist, kann dir niemand zu 100 % geben. Pentests und Bug-Bounty-Programme mit qualifizierten Analysten sind aber ein gutes Mittel, um dieser Ungewissheit etwas entgegenzuwirken. Je nach Anzahl der Befunde kann man dadurch auch eine Annahme über den Sicherheitsstand einer Applikation treffen sowie mit hoher Wahrscheinlichkeit offensichtliche Security-Bugs eliminieren.

Was macht eine Software eigentlich «sicher»?

Es ist nicht ganz einfach, dies in einem kurzen Statement zu beantworten. Neben einer robusten Authentifizierung und Autorisierung stehen eine konsequente Eingabevalidierung sowie ein durchdachtes Sicherheitsdesign («Security by Design») ganz oben auf der Liste. Dazu gehören auch sichere Sessions und Token, Verschlüsselung, regelmässige Updates, Logging/Monitoring und der Einsatz etablierter Sicherheitsmechanismen. Die Liste könnte jedoch noch sehr lange weitergeführt werden.